北한 해킹·AI 공격 급증에 한국, 긴급 가상자산 회의 소집

약 64억 달러가 바이낸스에서 유출된 후, 한국 금융위원회(FSC)는 월요일 국내 최대 암호화폐 거래소들을 소환해 방어 체계를 점검했다.

FBI는 바이낸스 해킹을 북한 탓으로 돌렸다. 한국 금융위원회(FSC)는 올해 여러 차례 유사한 회의를 개최했다.

FSC가 암호화폐 거래소들과 회담한 이유는 무엇인가?

바이낸스 해킹으로 약 64억 달러가 유출된 후, 한국 금융위원회(FSC)는 원화 기반 거래소 5곳인 업비트, 빗썸, 코인원, 디지털엑스, 고팍스 및 폴리티에이트와 같은 코인 시장 플랫폼에서, 월요일 오전 10시 각 기관에서 1~2명의 실무자를 소환했다.

이번 회의는 수요일에 금융 부문 전체를 대상으로 예정된 보안 점검 이전에 열렸다. 금융위원회(FSC) 관계자는 이번 회의의 목적은 바이낸스 해킹 사건 이후 국내 거래소들의 준비 상태를 파악하는 것이라고 밝혔다.

한국 가상자산 사용자 보호법에 따르면, 암호화폐 거래소는 고객에게 예치된 디지털 자산의 최소 80%를 콜드 월렛(오프라인 지갑)에 보관해야 한다. 업비트는 고객 예치 암호화폐의 99% 이상을 콜드 월렛에 보관하고 있는 것으로 알려졌다. 반면 빗썸은 약 94%, 코인원은 약 85%를 콜드 월렛에 보관 중이다. DigitalX와 스트리미가 운영하는 고팍스는 80%대 초반 수준이다.

당국은 이러한 비율을 더 높일 것으로 예상된다.

콜드 월렛에 집중하는 이유는 바이낸스 해킹 사건에서 도난당한 자금이 일상적인 거래를 위해 사용하는 핫월렛(온라인 지갑)에서 유출되었기 때문이다.

FBI는 왜 북한이 바이낸스를 해킹했다고 생각할까?

바이낸스는 10월 29일 여러 블록체인 네트워크에서 운영하던 핫월렛으로부터 약 64억 달러(약 8조 4천억 원)를 손실한 것으로 알려졌다. TRM Labs는 약 63억 6천만 달러가 10개 체인을 통해 유출되는 것을 추적했으며, 대부분은 약 20분 이내에 발생했다.

FBI는 10월 31일 이번 공격을 북한과 연관 지었으며, 이는 TraderTraitor라는 그룹이 저지른 것으로 지난해 15억 달러 규모의 Bybit 해킹 사건의 범인과 동일하다고 밝혔다. FBI는 거래소 및 분석 기업들에게 관련 주소의 차단을 요청했으며, 도둑들은 Binance에서 훔친 자금을 이더리움으로 전환하고 있는 것으로 알려졌다.

특히 도널드 트럼프 전 대통령은 플로리다주 할로윈 행사에서 FBI의 조사 결과를 축소하며 “우리는 이것이 북한인지 알 수 없다”고 말했다.

Binance는 누락된 자금의 90%를 충당할 수 있을 만큼 충분한 동종 자산을 별도로 확보했으며, 고객에게 손실을 전액 보상하겠다고 밝혔다.

Binance 사건 이전에 한국은 이미 별도의 일련의 보안 침해 사고를 처리 중이었다. Cryptopolitan이 보고 경찰은 Bithumb, 대신증권, 미래에셋글로벌인베스트먼트의 데이터 유출 사건에 대해 예비 수사를 개시했으며, 이들 사건이 16개 기업을 대상으로 한 이전의 대규모 해킹 파도와 관련이 있는지 여부를 확인 중이다.

중국산 오픈소스 침투 테스트 도구인 ARTEX는 Claude Code와 같은 AI 모델과 함께 사용되었으며, 앞서 발생한 사건들에서 사용된 것으로 보고되었다.

대신증권은 38,490명의 고객 데이터가 유출된 사실을 확인했다. 16개 기업 전체를 합치면 10월 14일 기준 약 10만 건의 기록이 노출됐다. 금융위원회 이미 555개 금융사를 선제적으로 점검해 패치 누락 및 실시간 모니터링 부재 등의 미비사항을 이유로 130개사를 적발했다.

외부인이 빗썸의 Daouoffice 모바일 그룹웨어에 접근하여 844명의 고객 주민등록번호, 계좌번호 및 신분증 사본을 유출했다. 프라뱅크는 더 큰 피해를 입어 고객 자산 약 1억 원이 손실되었고 서비스도 중단되었다.

Microsoft Threat Intelligence 는 북한 해킹 그룹 제이드 슬레트(Jade Sleet), 코랄 슬레트(Coral Sleet), 재스퍼 슬레트(Jasper Sleet) 세 팀은 AI를 전술의 최상위 단계인 전체 운영에 통합했으며, 평양 정권의 주요 목표로 암호화폐 거래소와 금융 기관을 지목했다. 다만 바이낸스 해킹 자체에 AI가 사용되었는지는 아직 입증되지 않았다.

사용자 보호 규제는 왜 여전히 제자리걸음인가?

월요일의 소환 조치는 이번이 처음이 아니다. 2월에는 금융위원회 이오원 위원장이 빗썸의 비트코인 오지급 사건 이후 한국금융정보분석원(KoFIU)과 금융감독국 관계자들을 소집해 내부 통제 강화와 사용자 손해에 대한 엄격책임 원칙 도입을 촉구하기 위한 긴급 회의를 열었다.

해당 규정은 여전히 법적 근거가 없습니다. 발행, 공시 및 사용자 보상을 다루는 디지털자산기본법(2단계 법안)은 아직 통과되지 않았습니다. 10월 22일 국회 국정감사에서 양당 의원들은 이 지연 사태에 대해 질문을 던졌습니다.

더불어민주당 민병덕 의원은 미국이 2025년 7월 GENIUS 법안을, 홍콩이 2025년 8월에 이어 제정했다고 지적하며, 한국은 “아무것도 하지 않았다”고 비판했습니다. 이에 대해 이 의원은 해당 법안이 “협의의 최종 단계”에 있다고 답변했습니다.

규제 당국은 해당 법안 하에서 과실 책임 없는 보상 요건을 제시했으며, 이는 거래소가 통제하는 영역에서의 해킹 및 시스템 장애로 인한 손실에 대해 거래소를 책임지도록 하는 내용입니다.

해당 법안이 통과되기 전까지, 침해 사고에 휘말린 한국 사용자는 거래소가 전액 변상하겠다고 약속한 바이낸스(Binance) 고객들보다 구제 수단이 약합니다.